Zusammenfassung

  • Öffentliche AFRINIC-Seiten, Gerichtsportale und staatliche Register liefern in diesem Lauf Prüfpfade, aber keinen unabhängig verifizierten Nachweis eines konkreten Gerichtsbeschlusses, Wahlergebnisses, Dienstvorfalls oder abgeschlossenen Korrekturprogramms.
  • Die belastbare Frage lautet daher nicht nur, ob das Register erreichbar ist, sondern wer Änderungen autorisieren, ausführen, erkennen, rückgängig machen und anschließend unabhängig prüfen kann.

AFRINICs aktuelle Risikofrage lässt sich nicht durch einen Titel, eine institutionelle Erklärung oder eine Statusseite beantworten. Ein regionales Internet-Nummernregister ist zugleich Datenbank, Vertrauensanker und betriebliche Infrastruktur. Wenn seine Governance bestritten wird, entstehen mindestens vier getrennte Beweisketten: institutionelle Kontinuität, formale Befugnis, praktische Betriebskontrolle und dauerhafte Reparatur.

Diese Trennung ist der Kern der Untersuchung. Die öffentliche Recherche in diesem Lauf hat keine konkrete Gerichtsentscheidung aus den Jahren 2025 oder 2026, kein bestimmtes Wahlergebnis, keinen Dienstvorfall und keine abgeschlossene Abhilfemaßnahme unabhängig verifiziert. Die AFRINIC-Seiten zu Wahlprozess, Gerichtsdokumenten, Receiver und Nachrichten sind deshalb als institutionelle Veröffentlichungen und als Wege zu weiteren Unterlagen zu behandeln, nicht als Beweis für die zugrunde liegende Rechts- oder Betriebslage: Wahlprozess-Seite von AFRINIC, Gerichtsdokumente von AFRINIC, Receiver-Seite und Nachrichtenarchiv.

Auch eine Statusseite kann nur zeigen, was ihr Betreiber veröffentlicht. Sie beweist weder ununterbrochenen Dienst noch korrekte Berechtigungen, vollständige Änderungsprotokolle oder eine funktionsfähige Nachfolge. Für diese Prüfung ist die AFRINIC-Statusseite daher ein möglicher Prüfpunkt, keine abschließende Evidenz.

Vier verschiedene Kontinuitäten

Institutionelle Kontinuität bedeutet, dass eine Organisation weiterhin auftritt, Seiten pflegt oder Dienste anbietet. Das ist wichtig, aber schwach als Governance-Nachweis. Sichtbare Maschinen können weiterlaufen, während ein Konflikt über Mandat oder Zeichnungsbefugnis ungelöst bleibt.

Formale Autorität verlangt authentifizierbare Rechtsinstrumente: etwa einen Gerichtsbeschluss, eine ordnungsgemäß dokumentierte Wahl, eine Eintragung oder eine andere belastbare Grundlage. AFRINICs eigenes Archiv kann Hinweise auf solche Instrumente liefern. Ob ein Dokument authentisch, aktuell, vollstreckbar oder durch ein späteres Instrument verändert wurde, muss jedoch anhand eines authentifizierten Justizportals von Mauritius, des Government Gazette, des Unternehmensregisters von Mauritius oder einer unabhängigen juristischen Reproduktion wie MauritiusLII geprüft werden.

Praktische Betriebskontrolle ist eine andere Frage. Wer kann Administratoren einsetzen, Zugangsdaten ändern, Registrierungsdaten aktualisieren, RPKI-bezogene Änderungen freigeben, Backups wiederherstellen oder externe Dienstleister instruieren? Aus dem Namen einer Funktion folgt nicht, dass eine bestimmte Person diese Rechte besitzt. Der Target-Eintrag CTO AFRINIC wird deshalb als Verzeichniserwähnung verlinkt, nicht als Beweis für Identität, Ernennung, Amtszeit, Autorität oder Systemzugriff.

Dauerhafte Reparatur geht über Wiederherstellung hinaus. Sie wäre erst dann glaubhaft, wenn Zuständigkeiten, Zugriff und Kontrollen auch bei Personalwechsel, Rechtsstreit oder Ausfall der führenden Institution nachvollziehbar bleiben. Dazu gehören dokumentierte Delegation und Nachfolge, geschützte Backups, getrennte Rollen, doppelte Freigaben, zeitlich begrenzte Notfallzugänge und ein Verfahren, mit dem Mitglieder Entscheidungen anfechten können.

Welche Kontrollen öffentlich prüfbar sein müssten

Die Präventionsebene sollte zeigen, dass privilegierte Rechte nach dem Prinzip der geringsten Berechtigung vergeben werden. Eine belastbare Prüfung würde außerdem eine Trennung von Antrag, Freigabe und Ausführung erwarten. Notfallzugänge müssten ablaufen, Delegationen dokumentiert und Backups vor unbefugter Änderung geschützt sein.

Die Erkennungsebene müsste tamper-evidente Zugriffsprotokolle, Freigabespuren, Änderungsverläufe der Registry und gegebenenfalls RPKI, Zustandsvergleiche sowie eine unabhängige Prüfung vorhalten. Eine öffentliche Statusanzeige ist dafür zu grob: Sie kann Verfügbarkeit signalisieren, aber nicht, ob eine Änderung rechtmäßig war oder ob ein späteres Zurückrollen möglich ist.

Die Reaktionsebene verlangt begrenzte Befugnisse, reversible Änderungen, dokumentierte Eskalation, Vorfallmeldungen und eine Analyse nach dem Ereignis. Die Wiederherstellungsebene müsste Wiederanlauf- und Failover-Tests, zugangsunabhängige Nachfolge, gegebenenfalls Portierbarkeit sowie erneute Tests offener Ausnahmen dokumentieren.

Diese Anforderungen sind kein Beweis dafür, dass AFRINIC sie erfüllt oder nicht erfüllt. Sie sind ein Prüfrahmen für die noch offenen Nachweise. Für den globalen Kontext kann die IANA-Zuweisung des IPv4-Adressraums begrenzte Informationen über Ressourcenallokation liefern; sie beweist jedoch weder AFRINICs Governance noch dessen Dienstgesundheit. Ebenso kann der RIR-Stabilitätsfonds des NRO Kontinuitätskontext liefern, aber keine AFRINIC-internen Kontrollen belegen. ICANN-Korrespondenz und ICANN-Unterlagen zu Board-Aktivitäten können eine Koordinationschronologie ergänzen, ersetzen aber keine mauritischen Gerichtsunterlagen.

Was Uptime nicht beantwortet

Ein erreichbares Register beantwortet nicht, wer eine Änderung vorgenommen hat. Eine veröffentlichte Mitteilung beantwortet nicht, ob sie rechtlich bindend war. Ein Receiver-Hinweis beantwortet nicht automatisch, welchen Umfang seine Befugnisse hatten. Eine Wahlprozess-Seite beantwortet nicht ohne Weiteres, welches Ergebnis wirksam wurde oder ob dieses Ergebnis später angefochten wurde.

Genau hier liegt das Risiko für Mitglieder, Betreiber und abhängige öffentliche Dienste: Ein sichtbarer Betrieb kann Vertrauen kurzfristig stabilisieren, während ungeklärte Rechte und fehlende unabhängige Protokolle die nächste Störung schwerer erkennbar und schwerer reversibel machen. Die Wirkung ist nicht zwingend ein sofortiger Ausfall. Sie kann auch in verzögerten Streitigkeiten, widersprüchlichen Anweisungen, erschwerter Incident Response oder der Unfähigkeit liegen, eine autorisierte Datenlage von einer nur behaupteten zu unterscheiden.

Der Nachweis, der die Debatte voranbringen würde

Die produktivste nächste Veröffentlichung wäre kein weiterer allgemeiner Statussatz, sondern ein prüfbares Kontrollpaket: die maßgeblichen authentifizierten Rechtsinstrumente; eine datierte Rollen- und Delegationsmatrix; eine Darstellung privilegierter Zugänge ohne unnötige Geheimnisse; Änderungs- und Freigabeprotokolle; Ergebnisse von Restore- und Failover-Tests; dokumentierte Ausnahmen; sowie ein unabhängiger Review mit klarer Aussage darüber, was nicht geprüft werden konnte.

Ein solches Paket würde vier Dinge auseinanderhalten: Wer darf entscheiden? Wer kann technisch handeln? Wer erkennt eine unzulässige oder fehlerhafte Änderung? Wer kann den Zustand wiederherstellen und die Reparatur kontrollieren? Erst wenn diese Fragen über voneinander unabhängige Belege beantwortet werden, lässt sich von dauerhafter Korrektur sprechen.

Der gegenwärtige öffentliche Befund ist enger: Es gibt mehrere institutionelle und rechtliche Prüfpfade, aber in diesem Lauf keinen unabhängig verifizierten Nachweis, der diese vier Ebenen schließt. AFRINICs Maschinen weiterlaufen zu lassen, bleibt notwendig. Es ist jedoch nicht dasselbe wie eine belastbare, rechtlich und operativ nachgewiesene Governance.